De Autoriteit Persoonsgegevens (AP) ontvangt een groot aantal meldingen van datalekken die het gevolg zijn van gehackte WordPress-websites. Volgens de privacytoezichthouder worden betrokkenen niet altijd geïnformeerd, omdat eigenaren van deze sites de risico's van een datalek vaak onderschatten.

Wereldwijd draaien miljoenen websites op WordPress. Recent zijn kwetsbaarheden in deze software ontdekt waarvoor een update beschikbaar is, maar veel gebruikers hebben deze nog niet geïnstalleerd. Kwaadwillenden maken momenteel actief misbruik van deze kwetsbaarheden, wat heeft geleid tot een toename van datalekmeldingen bij de AP. Via een gehackte WordPress-site kunnen aanvallers toegang krijgen tot diverse persoonsgegevens, zoals informatie over gebruikers en klanten die via de website worden verwerkt. Dit kan bijvoorbeeld gaan om forumberichten, aankopen, offertes, consulten of ingevulde webformulieren.

De AP waarschuwt dat deze gegevens door criminelen kunnen worden misbruikt voor het versturen van spam, gerichte phishing-aanvallen en het verspreiden van malware. Wanneer beheerders of organisaties sporen van misbruik binnen hun WordPress-omgeving constateren en er mogelijk toegang is geweest tot persoonsgegevens, moet dit worden beschouwd als een datalek. De toezichthouder adviseert in dergelijke gevallen het datalek te melden, zonder te wachten op een uitgebreid onderzoek naar de aard en omvang ervan. Een voorlopige melding is ook toegestaan.

Bij diefstal van e-mailadressen, telefoonnummers en bijzondere persoonsgegevens is het volgens de AP van belang dat slachtoffers zo snel mogelijk worden geïnformeerd. Deze aanbevelingen zijn terug te vinden in het advies van de AP aan WordPress-gebruikers die getroffen zijn door een datalek.